Verstoßen Verantwortliche gegen die Grundsätze der Datenschutzgrundverordnung (DSGVO), drohen Konsequenzen – diese Tatsache ist mittlerweile hinreichend bekannt. Die bekannteste Konsequenz ist wohl die Verhängung eines Bußgeldes durch die Datenschutz-Aufsichtsbehörde. Diesem geht meist eine Beschwerde der betroffenen Person voraus.

Weniger bekannt ist hingegen, dass die betroffene Person neben dem Recht auf Beschwerde auch das Recht auf einen wirksamen gerichtlichen Rechtsbehelf (Art. 79 DSGVO) hat, wenn sie der Ansicht ist, dass die ihr zustehenden Rechte aufgrund einer unrechtmäßigen Verarbeitung ihrer personenbezogenen Daten verletzt wurden.

Genau diesen Weg ist eine betroffene Person gegangen. Das Amtsgericht Wertheim hat in seinem Beschluss vom 12.12.2019 (Az. 1 C 66/19) ein Zwangsgeld in Höhe von 15.000 € verhängt, weil das beklagte Unternehmen seiner Auskunftspflicht nach Art. 15 DSGVO nicht hinreichend nachgekommen ist. Gemäß Art. 12 DSGVO ist die Auskunft in transparenter, verständlicher, leicht zugänglicher Form in einer klaren und einfachen Sprache zu erteilen. Umstritten war in diesem Zusammenhang, ob eine solche und den Anforderungen der DSGVO entsprechende Auskunft bereits erteilt bzw. als Schriftstück übergeben wurde.

Dem Beschluss ging ein Anerkenntnisurteil vom 27.05.2019 (Az. 1 C 66/19) voraus, in dem das Unternehmen verurteilt wurde, dem Kläger Auskunft nach Art. 15 DSGVO über seine vom Unternehmen verarbeiteten personenbezogenen Daten zu erteilen. Hiervon betroffen war insbesondere die in Art. 15 Abs. 1 lit. g DSGVO normierte Pflicht, alle verfügbaren Informationen über die Herkunft der personenbezogenen Daten offenzulegen sowie die konkreten Daten (z.B. Meyer, geb. am 15.03.1989 anstelle von Name und Geburtsdatum) zu benennen, wenn diese nicht bei der betroffenen Person selbst erhoben wurden. Genau dieser Pflicht ist das Unternehmen jedoch nicht vollständig nachgekommen.

Wie weit reicht das Auskunftsrecht?

An dieser Stelle gelangt man schnell zu einer Problematik, die nicht nur die Unternehmenspraxis zunehmend beschäftigt: Auch wenn der Wortlaut des Art. 15 DSGVO auf den ersten Blick verständlich erscheint, besteht über die Reichweite des Auskunftsrechts grundsätzlich noch Unklarheit.

Nach Ansicht des AG Wertheim umfasst das Auskunftsrecht nicht nur die Information, ob personenbezogene Daten gespeichert wurden, sondern auch die Auskunft darüber, welche personenbezogenen Daten gespeichert wurden. Es bedarf also nicht nur der reinen Auskunft darüber, dass z.B. ein Name oder Geburtsdatum gespeichert wurde, sondern auch welcher Name oder welches Geburtsdatum gespeichert wurde. Zusammenfassend bedeutet dies, dass nach Ansicht des AG Wertheim nur dann eine vollständige und den Grundsätzen der DSGVO entsprechende Auskunft über die Herkunft der Daten stattgefunden hat, wenn:

  • die Herkunft der Daten preisgegeben wird und
  • erkennbar ist, welche genauen Daten übermittelt wurden bzw. welche Inhalte die Daten haben.

Zwar ist zu begrüßen, dass sich das AG Wertheim als eines der wenigen Gerichte zum Umfang des Auskunftsrechts geäußert hat. Fraglich ist allerdings, in wie weit dies für den Geschäftsalltag tatsächlich hilfreich ist. Im Kern wiederholt das AG Wertheim nur das, was die DSGVO in aller Deutlichkeit vorschreibt und bringt damit keine neuen Erkenntnisse.

Auch das LAG Baden-Württemberg (Az. 17 Sa 11/18) hat sich als eines der ersten wenigen Gerichte schon einmal mit dem Auskunftsrecht beschäftigt. In dem zu verhandelnden Fall machte ein Arbeitnehmer im Rahmen eines Kündigungsschutzprozesses von seinem Auskunftsrecht gebrauch, um Einsicht in seine Personalakte zu erhalten. Das Gericht entschied, dass die beklagte Arbeitgeberin dem Kläger eine Kopie seiner personenbezogenen Leistungs- und Verhaltensdaten, die Gegenstand der von ihr vorgenommenen Verarbeitung sind, zur Verfügung stellen muss. Hierzu gehörten insbesondere:

  • die Zwecke der Datenverarbeitung
  • die Empfänger, gegenüber denen die Beklagte die personenbezogenen Daten des Klägers offengelegt hat oder noch offenlegen wird
  • die Speicherdauer
  • die Herkunft der personenbezogenen Daten, soweit diese nicht beim Kläger selbst erhoben wurden
  • das Bestehen einer automatisierten Entscheidungsfindung

Für die Unternehmenspraxis entsteht hierbei allerdings eine wesentliche Frage:

„Welche genauen personenbezogenen Daten gehören zu den Leistungs- und Verhaltensdaten?“

Zwar konkretisiert das Gericht im vorliegenden Fall die Reichweite des Auskunftsrechts, wiederholt aber auch hier wieder im Wesentlichen nur das, was der Art. 15 DSGVO mitunter eh schon vorschreibt.

Fazit

Von Rechtssicherheit kann leider keine Rede sein. Die Frage, welche Daten konkret vom Auskunftsrecht erfasst werden, ist noch lange nicht abschließend beantwortet, weswegen die herrschende Unsicherheit leider auch noch weiterhin bestehen bleibt. Insbesondere für die Unternehmenspraxis wäre es deswegen umso wünschenswerter, wenn die Rechtsprechung bei der nächsten Möglichkeit mutiger wird und mehr an Schärfe gewinnt.

| | |